비밀번호 관리

사용자 및 관리자가 안전한 비밀번호를 설정하여 사용할 수 있도록 비밀번호 관리절차 및 작성규칙을 수립/이행하여야 한다.

• 비밀번호 작성규칙 예시(불가피한 경우를 제외하고는 시스템적으로 강제화)

구분	내용
조합 규칙 적용	영문, 숫자, 특수문자 중 2종류 이상을 조합하여 최소 8자리 이상 문자로만 구성한 경우 최소 10자리 이상(단, 숫자로만 구성할 경우 취약할 수 있음)
변경주기 설정	비밀번호 유효기간을 설정하여 주기적으로 변경(단, 주기적 변경 여부 및 변경주기는 위험평가 결과 등을 고려하여 자체적으로 결정)
추측하기 쉬운 비밀번호 설정 제한	동일한 문자 반복, 키보드 상에서 나란히 있는 문자열, 일련번호, 연속적인 숫자, 생일, 전화번호 등 추측하기 쉬운 개인정보 및 ID와 비슷한 비밀번호 사용 제한
동일한 비밀번호 재사용 제한	비밀번호 변경 시 이전에 사용한 비밀번호 재사용 제한

• 비밀번호 관리절차 예시
  • 시스템 도입 시 설정된 초기 또는 임시 비밀번호의 변경 후 사용
  • 비밀번호 처리(입력, 변경) 시 마스킹 처리
  • 종이, 파일, 모바일 기기 등에 비밀번호 기록/저장을 제한하고, 부득이하게 기록/저장하여야 하는 경우 암호화 등의 보호대책 적용
  • 침해사고 발생 또는 비밀번호의 노출 징후가 의심될 경우 지체 없이 비밀번호 변경
  • 비밀번호 분실 등에 따른 재설정 시 본인확인 절차 수행
  • 관리자 비밀번호는 비밀등급에 준하여 관리 등

정보주체(이용자)가 안전한 비밀번호를 설정하여 사용할 수 있도록 비밀번호 작성규칙을 수립/이행하여야 한다.

• 사용자 및 개인정보취급자 비밀번호 작성규칙을 참고하되, 서비스의 특성 및 위험도 등을 고려하여 적절한 수준에서 비밀번호 작성규칙 적용
• 비밀번호 분실, 도난 시 본인확인 등을 통한 안전한 재발급 절차 마련 등

개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하여야 한다.

• 개인정보취급자 또는 정보주체의 인증수단으로 비밀번호를 사용할 경우 안전한 비밀번호 작성규칙을 수립/적용
• 비밀번호 외의 인증수단(인증서, PIN, 생체인식, 보안토큰 등)을 사용할 경우 해당 인증수단이 비인가자에게 탈취되거나 도용되지 않도록 보호대책 적용

[참고] 개인정보취급자 또는 정보주체의 인증수단 적용/관리(개인정보의 안전성 확보조치 기준 제5조제5항)

⑤ 개인정보처리자는 개인정보취급자 또는 정보주체의 인증수단을 안전하게 적용하고 관리하여야 한다.